Google 250 ezer dollárt fizetett egy Linux-hibáért: a vendég VM sem volt biztonságban

Mi a gond egy vendég VM-es szökéssel?

A „vendég VM escape” elsőre technikai zsargon, de a lényege egyszerű: egy elkülönített virtuális gép határai meggyengülhetnek. Ez azért súlyos, mert a vendég gép pont arra való, hogy elkülönítve fusson – akár egy szerveren, akár felhős környezetben.

Az Ars Technica Security alapján a most előkerült Linux-hiba miatt a Google 250 ezer dollárt fizetett.Ez már önmagában is jelzi, hogy nem hétköznapi apróságról van szó. Az ilyen hibák nem feltétlenül a teljes internetet fenyegetik egyszerre, de ahol virtualizációt használnak, ott komoly védelmi rés keletkezhet.

Ráadásul nem egyetlen problémáról beszélünk: két sebezhetőség is előkerült, és mindkettő közös veszélye, hogy megbízhatatlan felhasználó root jogosultságig juthatott.Linuxon a root lényegében teljes hozzáférést jelent, vagyis onnantól a támadó sokkal többet tehet, mint egy sima fiókkal.

Miért pont most lett ebből nagy ügy?

Az ilyen történetek általában azért kapnak figyelmet, mert egyszerre szólnak biztonságról és infrastruktúráról. A VM-eket sokan pont azért szeretik, mert különválasztják a kockázatot: tesztelésre, felhőszolgáltatásokhoz, szerveres munkához is kényelmesek.Ha egy hiba ezt az elválasztást bontja meg, az már nem csak egy hiba a sok közül.

A 250 ezer dolláros összeg itt nem csak pénzügyi érdekesség. Inkább azt mutatja, hogy a felfedezett probléma értéke magas volt, és a javításnál a gyors reagálás számít.Ilyenkor a legnagyobb veszély nem feltétlenül az, hogy minden felhasználó érintett, hanem az, hogy a sérülékeny rendszer napokig vagy hetekig frissítés nélkül marad.

Ami a publikus részletekből biztosan látszik: a gond Linux-környezethez kötődik, a hiba a vendég VM-ek biztonságát érintheti, és a jogosultságszerzés miatt különösen érzékeny. Ami viszont mindig ilyenkor dől el igazán, az a pontos érintettségi kör: melyik környezet, melyik verzió, melyik frissítés oldja meg végleg.

Mit nézz meg a beállításokban?

Ha Linuxot futtató gépet, szervert vagy virtuális környezetet kezelsz, most a legfontosabb nem a pánik, hanem az ellenőrzés.Nézd meg, hogy a rendszerfrissítések valóban települtek-e, és hogy a virtualizációs réteghez is megérkezett-e a javítás. Otthoni gépen ez gyakran egy sima rendszerfrissítés kérdése, munkahelyi vagy felhős környezetben viszont már az admin értesítései számítanak.

A jó hír az, hogy az ilyen hibákhoz többnyire érkezik javítás. A rossz hír az, hogy amíg a frissítés nem fut le, a védelem papíron létezik, a gyakorlatban viszont még nem.Ezért érdemes most nem csak a Linuxra, hanem a hozzá kapcsolódó gép- és platformfrissítésekre is ránézni.

Ha egy cikkben az szerepel, hogy egy hibáért 250 ezer dollárt fizettek, a vendég VM-ekből is ki lehetett szökni, és a támadó root jogig juthatott, az már nem háttérzaj. Ez az a kategória, ahol a frissítés tényleg többet ér, mint a halogatás.